Samstag, 23. März 2019

Sicherheitslücken in WLAN-Verschlüsslung Bankgeschäfte über WLAN noch sicher?

Freies WLAN: Forscher der Katholischen Uni Löwen haben Sicherheitslücken in WLAN-Verschlüsselung

Das Verschlüsselungsverfahren WPA2 soll in einem WLAN-Hotspot Verbindungen absichern und Lauscher aussperren. Doch offenbar klaffen in dem Standard kritische Sicherheitslücken. Netzwerkausrüster können die Lücken wohl mit Updates stopfen. Derweil streiten Experten über eine Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik.

Einen Tag nach Bekanntwerden der gravierenden Sicherheitslücke in der WLAN-Verschlüsselung haben erste Anbieter von Geräten und Software die Schwachstelle gestopft. Mehrere Spezialisten für Netzwerk-Technik wie Cisco , Intel , Netgear und Aruba veröffentlichten bis Dienstag entsprechende Sicherheits-Updates. Bei Microsoft wurde die Sicherheitslücke bereits in den frisch veröffentlichten Software-Aktualisierungen berücksichtigt. Apple schloss die Lücke in den aktuellen Beta-Versionen seiner Betriebssysteme, die demnächst für alle verfügbar sein sollten.

Mit der "KRACK" getauften Attacke können demnach Angreifer die WPA2-Verschlüsselung aufbrechen, belauschen und manipulieren, wie Forscher der Katholischen Universität Löwen am Montag berichteten. Sie entdeckten nach eigenen Angaben nun einen Fehler in dem vierstufigen Verfahren, mit dem bei WPA2 die Schlüssel von Sender und Empfänger in einem WLAN ausgetauscht werden. Im dritten Schritt kann der Schlüssel mehrmals gesendet werden. Diese Sicherheitslücke habe ermöglicht, die Verschlüsselung zu knacken.

Bundesamt empfiehlt: Kein Online-Banking via WLAN

Allerdings müsste sich ein Angreifer in Reichweite des WLAN befinden und über Fachwissen verfügen, um die Attacke durchzuführen. Fachleute der Wifi Alliance verwiesen zudem darauf, dass zusätzliche Verschlüsselungs-Schichten wie HTTPS (beispielsweise beim Online-Banking) oder virtuelle private Netzwerke (VPN) durch die KRACK-Attacke nicht ausgehebelt werden. Daher seien auch Online-Banking oder die Kommunikation mit WhatsApp über WLAN weiterhin sicher, weil ein WPA2-Angreifer nur verschlüsselte Daten zu sehen bekäme.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dagegen rät Anwendern, zunächst auf Online-Banking in einem mit WPA2 gesicherten Netzwerk zu verzichten. Auch vom Einkaufen im Netz via WLAN warnt das BSI, obwohl die meisten Online-Händler einen verschlüsselten Übertragungsweg anbieten, der nicht vom WPA2-Standard abhängt. Nur das kabelgebundene Surfen oder Mobilfunkverbindungen seien derzeit sicher: "Nutzen Sie Ihr WLAN-Netzwerk so, als würden Sie sich in ein öffentliches WLAN-Netz einwählen, etwa in Ihrem Lieblings-Café oder am Bahnhof", heißt es beim BSI.

Der Appell des Bundesamtes keine Bankgeschäfte mehr über ein drahtloses Netzwerk zu tätigen, stößt indes bei anderen Experten indes auf Kritik. "Mir erscheint die generelle Warnung vor Online-Banking und Shopping im eigenen WLAN als überzogen, wenn die Kanäle jeweils selbst (mit https:// oder VPN) verschlüsselt sind", sagte der Sprecher des Chaos Computer Clubs, Linus Neumann, der Deutschen Presse-Agentur.

rei/dpa

© manager magazin 2017
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung